CVE-2024-0670 – Lokale Privilegienausweitung im CheckMK Agent (PowerShell PoC)

Zusammenfassung

Dieses Repository präsentiert einen unabhängigen PowerShell-Proof-of-Concept für CVE-2024-0670, eine Windows-Schwachstelle zur lokalen Privilegienausweitung im CheckMK Agent. Die Schwachstelle ermöglicht es einem lokalen Benutzer mit niedrigen Rechten, durch Ausnutzung der vorhersagbaren Ausführung von Befehlsdateien während eines MSI-Reparaturvorgangs auf NT AUTHORITY\SYSTEM zu eskalieren.

Diese Implementierung ist eine abgeleitete Analyse des öffentlich verfügbaren PoC von elsevar11 unter CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit; sie übernimmt Kernkonzepte und bietet eine optimierte Ausnutzungslogik.

Originalreferenz:
https://github.com/elsevar11/CVE-2024-0670-CheckMK-Agent-Local-Privilege-Escalation-Exploit/blob/main/exploit.ps1

Schwachstellenübersicht

• Anbieter: Tribe29 / CheckMK
• CVE: CVE-2024-0670
• Schweregrad: Hoch (CVSS 8.8)
• Typ: Lokale Privilegienausweitung
• Grundursache: Unkontrollierter Suchpfad bei MSI-Reparatur mit vom Angreifer kontrollierten Dateien.

Während der MSI-Reparatur führt das Installationsprogramm Dateien in C:\Windows\Temp mit vorhersagbaren Namen aus. Ein nicht privilegierter Benutzer kann kontrollierte Payloads vorab platzieren, die anschließend mit erhöhten Rechten ausgeführt werden.

Inhalt

Voraussetzungen

• Windows-Rechner mit installiertem CheckMK Windows Agent
• Nicht privilegiertes lokales Benutzerkonto
• PowerShell (Ausführungsrichtlinie erlaubt Skriptausführung)
• Schreibzugriff auf C:\Windows\Temp\
• Reverse-Shell-Listener (optional, für Payloads)

Konfiguration (exploit.ps1)

Passen Sie die folgenden Parameter nach Bedarf an:

$LHOST  # Angreifer-IP
$LPORT  # Angreifer-Port
$NcPath # Pfad zum Payload (z.B. nc.exe)
$MinPID # Untere Grenze für Dateien platzieren
$MaxPID # Obere Grenze für Dateien platzieren

Verwendung

1. Starten Sie einen Listener auf Ihrem Angreifer-Host:

nc -lvnp <PORT>

2. Führen Sie den Exploit von einem nicht privilegierten Konto aus:

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\exploit.ps1

Bei erfolgreicher Ausnutzung wird eine SYSTEM-Shell an Ihren Listener zurückgesendet.

Zuschreibung

Der Ausnutzungsansatz – das Aufzählen von MSI-Paketen, das Platzieren vorhersagbarer Dateinamen und das Einleiten einer MSI-Reparatur – basiert auf dem ursprünglich veröffentlichten PoC von elsevar11 auf GitHub. Dieses Repository adaptiert diese Logik in eine alternative PowerShell-Formulierung zur Klarheit und Reproduzierbarkeit der Forschung.

Rechtlicher Hinweis

Dieser Code wird ausschließlich zu Bildungs-, Abwehrtechnik- und autorisierten Testzwecken bereitgestellt. Die Verwendung gegen Systeme ohne ausdrückliche Genehmigung ist rechtswidrig. Der Autor übernimmt keine Verantwortung für Missbrauch oder rechtliche Konsequenzen.

Lizenz

Dieses Repository wird unter der MIT-Lizenz veröffentlicht.